חשבונית שמגיעה בדיוק ביום עמוס, עם לוגו מוכר ודרישת תשלום דחופה, עלולה לעקוף גם עובד מנוסה. הונאת חשבוניות היא אחת הצורות המעשיות של Business Email Compromise: התוקף מתחזה לספק, למנהל או לגורם כספים ומנסה לשנות פרטי חשבון, לזרז העברה או לגרום לפתיחת קובץ וקישור.
תמונת המחשה: נוצרה באמצעות AI עבור ITPortal.
אין בדיקה אחת שמוכיחה שהודעה אמיתית. הדרך הבטוחה יותר היא לצרף כמה סימנים, ובעיקר לעצור שינוי בפרטי תשלום עד לאימות בערוץ נוסף. הנה שבע בדיקות שאפשר להפוך לנוהל קבוע במחלקת כספים וב־IT.
1. בודקים את כתובת השולח, לא רק את השם
שדה השם יכול להציג את שם הספק גם כאשר הכתובת האמיתית שונה. פתחו את פרטי השולח ובדקו את הדומיין אות אחר אות. שימו לב להחלפת אות בספרה, לסיומת חריגה או לכתובת Reply-To שאינה תואמת לכתובת שממנה נשלחה ההודעה. Google ממליצה לבדוק שהשם והכתובת מתאימים ולבחון אם ההודעה עברה אימות.
2. משווים לחשבונית קודמת
הסתכלו על מספר החברה, שם הישות המשפטית, כתובת, מטבע, תבנית המסמך ופרטי הבנק. שינוי קטן יכול להיות לגיטימי, אבל הוא דורש אימות. אל תשתמשו במספר הטלפון שמופיע רק בחשבונית החשודה; פתחו את מערכת הספקים, חוזה קודם או אתר רשמי שכבר מוכר לארגון.
3. שינוי חשבון בנק הוא עצירה אוטומטית
לפי מרכז תלונות פשיעת האינטרנט של ה־FBI, יש לאמת בקשות לשינוי פרטי חשבון באמצעות ערוץ משני או אימות דו־שלבי מול הנמען המיועד. מבחינה תפעולית, המשמעות פשוטה: שינוי IBAN, מספר חשבון, סניף או שם מוטב לא מאושר באותה שרשרת מייל שבה התקבלה הבקשה.
התקשרו לאיש קשר מוכר במספר שמופיע במערכת הארגונית. אם הספק מאשר את השינוי, תעדו מי אישר, מתי ובאיזה ערוץ. בארגונים גדולים כדאי לדרוש אישור של אדם נוסף לפני עדכון פרטי תשלום.
4. מרחפים מעל קישורים ולא פותחים קבצים מיד
במחשב, העבירו את הסמן מעל הקישור ובדקו לאן הוא באמת מוביל. Google מציינת שאי־התאמה בין הטקסט המוצג לבין הכתובת בפועל היא סימן אזהרה. קובץ PDF אינו הוכחה לבטיחות, וקובץ Office שמבקש להפעיל תוכן או מאקרו דורש זהירות מיוחדת.
אם צריך להיכנס לפורטל ספקים, עדיף לפתוח את הכתובת השמורה בדפדפן או להקליד אותה ידנית, ולא להשתמש בקישור שבהודעה. אין להזין סיסמה לאחר מעבר מקישור חשוד; גשו ישירות לשירות הרלוונטי.
5. בודקים דחיפות ושינוי בסגנון
״צריך לשלם היום״, ״אני בפגישה, אל תתקשר״ או ״זה חשבון חדש וסודי״ הם ניסוחים שמטרתם לצמצם את זמן הבדיקה. גם הודעה כתובה היטב אינה הוכחה לאמינות. מחקר שפרסמה Microsoft Security בספטמבר 2026 תיאר קמפיין התחזות למנהלים והונאת חשבוניות שבו נעשה שימוש בתשתיות מתחזות ובתוכן שנראה מותאם לארגון.
חפשו שינוי בתהליך, לא רק שגיאות כתיב: ספק שמבקש פתאום מטבע אחר, מנהל שמבקש לעקוף אישור, או חשבונית שמגיעה מתיבה חדשה.
6. בודקים את ההודעה בכלי הדואר
ב־Gmail אפשר לבדוק את פרטי האימות ואת כותרות ההודעה, ובמקרה חשוד לדווח על פישינג. בסביבת Microsoft 365 צוות ה־IT יכול לבדוק את מקור ההודעה, נתיב המסירה, תוצאות SPF, DKIM ו־DMARC, וקישורים או קבצים שנחסמו. תוצאה תקינה אינה מבטיחה שהשולח לגיטימי—תיבת דואר אמיתית יכולה להיפרץ—אבל היא מוסיפה הקשר.
Microsoft ממליצה על הגנה רב־שכבתית, הכוללת אימות דואר, הגנת התחזות, סריקת קישורים וקבצים ויכולת להסיר הודעות זדוניות לאחר המסירה. בארגון קטן אפשר להתחיל לפחות באימות רב־שלבי לחשבונות, הגבלת כללי העברה חיצוניים ונוהל דיווח ברור.
7. אם כבר שילמתם, פועלים מיד
אל תחכו לסוף היום. ה־FBI ממליץ ליצור קשר עם המוסד הפיננסי שממנו יצאה ההעברה מוקדם ככל האפשר ולבקש ניסיון החזרה או עצירה. במקביל יש לשמור את ההודעה המקורית, הכותרות, הקובץ, פרטי החשבון וכל התכתובת, לדווח לגורם האבטחה ולשקול תלונה לרשויות המתאימות.
אם נמסרה סיסמה, החליפו אותה ממכשיר נקי, נתקו חיבורים פעילים ובדקו כללי העברה והרשאות לתיבה. אם נפתח קובץ, העבירו את הפרטים לצוות ה־IT כדי לבדוק את התחנה ואת ההתראות.
הופכים את הבדיקה לנוהל קצר
הגנה טובה אינה תלויה בכך שכל עובד יזהה כל זיוף. בנו תהליך שבו שינוי פרטי ספק מחייב אימות בערוץ נפרד, תשלום חריג מחייב אישור נוסף, והודעה חשודה עוברת ל־IT בלי בושה ובלי עיכוב. כדאי לתרגל את הנוהל עם דוגמאות אמתיות אך מנוטרלות, ולבדוק שהטלפונים של אנשי הקשר נשמרים במערכת שאינה תלויה במייל שהתקבל.
לקריאה נוספת ב־ITPortal: כך מזהים התחזות למנכ״ל ובקשת העברה דחופה.
